CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ修正と、CVE対応を含む依存関係の更新を含むリリースです。依存関係のバージョン変更があり、テスト対象は Kubernetes 1.32 から 1.34 に更新されています。
要対応 (1)
securityCVE修正のための依存関係更新
CVEを修正するため、依存関係を更新しました。
影響確認 (1)
security仮想ホストの authPolicy 無効時の外部認可バイパス修正
authPolicy が設定されていない場合に適用されます。
仮想ホストで authPolicy が無効な場合に発生する外部認可バイパスを修正しました。対象のセキュリティアドバイザリは GHSA-cf57-xf33-fg5h です。
HTTPProxy の不正な設定に関するセキュリティ修正が含まれます。依存関係とツールチェーンが更新され、Kubernetes 1.32 から 1.34 でテストされています。
要対応 (1)
securitycriticalgolang. を v0.55.0 に更新
golang. を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。
影響確認 (1)
securitymediumHTTPProxy の不正なフォールバック証明書設定を拒否
HTTPProxy で fallback certificate を設定し、JWT verification を有効にしている場合に適用されます。
HTTPProxy で fallback certificate と JWT verification を設定した際、TLS SNI がないリクエストや認識されない SNI のリクエストが JWT 検証を回避できる不具合を修正しました。Contour はこの不正な設定を拒否します。関連するアドバイザリは GHSA-g3xr-5w5j-w4q4 です。
Luaコードインジェクションによる任意コード実行の脆弱性を修正しています。Envoy 1.35.0以降が必要となり、依存先はv1.35.10へ更新されています。Kubernetes 1.32から1.34でテストされています。
影響確認 (2)
securityhighHTTPProxy の cookieRewritePolicies[]. によるコード実行脆弱性の修正
HTTPProxy リソースを使用している場合に該当します。
RBAC権限を持つ攻撃者が、HTTPProxy リソースの作成または変更時に悪意のある cookieRewritePolicies[]. を指定すると、Envoyプロキシ上で任意のコードを実行できる問題を修正しました。対象は CVE-2026-41246 および GHSA-x4mj-7f9g-29h4 です。
breakingEnvoy 1.35.0以降への対応
Envoy に依存している場合に適用されます。
このリリースでは、Envoy 1.35.0以降が必要です。
このリリースでは、Luaコードインジェクションの脆弱性が修正され、Envoyがv1.へ更新されています。セキュリティ修正とEnvoyのバージョン更新を確認するリリースです。
要対応 (1)
securityhighCVE-2026-41246のLuaコードインジェクション修正
CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。
Luaコードインジェクション脆弱性の修正を含むリリースです。Envoyはv1.34.14に更新され、Kubernetes 1.30から1.32まででテストされています。
影響確認 (1)
securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正
cookieRewritePolicies[]. を設定している場合に適用されます。
ContourのCookie Rewriting機能にあったLuaコードインジェクション脆弱性 CVE-2026-41246（GHSA-x4mj-7f9g-29h4）を修正しました。
セキュリティ対応の依存関係更新と、例示マニフェストの設定変更が含まれます。互換性テストの対象はKubernetes 1.32から1.34です。
要対応 (2)
securitycriticalgoogle.をv1.79.3へ更新
google.をv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。
securityEnvoyをv1.35.9へ更新
セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。
影響確認 (1)
breaking例示マニフェストのhostPort: 8002を削除
例示マニフェストでhostPortを使用している場合に適用されます。
例示マニフェストからEnvoyメトリクスのhostPort: 8002を削除しました。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycriticalgoogle.をv1.に更新
google.をv1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。
securityEnvoyをv1.に更新
Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。
影響確認 (1)
breakingサンプルマニフェストのhostPort: 8002を削除
hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
サンプルマニフェストからEnvoyメトリクスのhostPort: 8002を削除します。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycriticalgoogle.のv1.への更新
google.をv1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。
securityEnvoyのv1.への更新
Envoyをv1.へ更新します。
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsでhostPort: 8002を使用している場合に適用されます。
hostPort: 8002のEnvoyメトリクス設定をexample manifestsから削除します。
